こんにちは！Webアプリケーション開発やインフラの管理、本当にお疲れ様です。
新米のIT担当者として、「セキュリティって何から手をつければいいんだろう……」「専門用語が多すぎて心が折れそう……」と悩んでいませんか？
今回は、Webサイトのセキュリティにおいてものすごく重要なテーマである「セッション固定化攻撃（Session Fixation）」と、そのバッチリな防ぎ方についてお話ししていきますね。
難しい言葉がたくさん出てきても大丈夫です。身近な「合鍵」の例えを使いながら、一歩ずつ分かりやすく解説していきますので、ぜひ最後までリラックスして読んでいってくださいね！
—
1. 「セッション固定化攻撃」ってどんな手口？（身近な例えで理解しよう）
Webサイトにログインするとき、IDとパスワードを入力しますよね。そのあと、ページを移動しても「ログインしたままの状態」を保つために、サーバー側はあなたのブラウザに「セッションID」という名前の「特別な整理券（あるいはデジタル証明書）」を渡します。
このセッションIDの仕組みを悪用するのが、セッション固定化攻撃です。これを身近な「合鍵」に例えてみましょう。
泥棒の手口：あらかじめ「合鍵」を渡しておく
1. 攻撃者の下準備：
攻撃者は、狙ったWebサイトにアクセスして、自分用の「セッションID（整理券）」をあらかじめゲットします。
2. 罠を仕掛ける：
攻撃者は、そのセッションID（例: SESSIONID=abc123xyz）が含まれたURLを、あなたに踏ませます（「このお得なリンクを見て！」などと言って）。
3. あなたがログインする：
あなたは何も知らずにそのURLを踏み、そのIDを持ったままログイン画面で自分のIDとパスワードを入力してログインします。
4. 乗っ取り完了！：
ここで何が起きるでしょうか？ あなたは「自分のアカウントにログインした」つもりですが、使っている整理券は最初に攻撃者が用意したものです。
つまり、攻撃者はあなたがログインした後のアカウントの「合鍵（セッションID）」を最初から持っていたことになり、そのままあなたになりすましてアカウントに侵入できてしまうのです。これがセッション固定化攻撃の恐ろしい仕組みです。
—
2. 攻撃を防ぐ一番の特効薬：「ログイン前後のセッションID再生成」
では、この巧妙な罠を防ぐにはどうすればいいのでしょうか？
答えはとてもシンプルです。「ログインが成功した瞬間、整理券（セッションID）を新しく発行し直す」これだけです！
先ほどの例で考えてみましょう。
1. 攻撃者が SESSIONID=abc123xyz という整理券をあなたに配ります。
2. あなたがその整理券を持ってログイン画面でパスワードを入力します。
3. サーバーはログイン成功を確認した瞬間、「お疲れ様！古い整理券は無効にするから、新しい SESSIONID=999999new をあげるね！」と、IDを新しく付け替えます。
4. すると、攻撃者が持っていた古い整理券（abc123xyz）はただのゴミになり、あなたのアカウントを守ることができます。
PHPでの実装例
実際のWeb開発（PHP）で、これをどうコードに書くのか見てみましょう。ログイン処理が成功した直後に session_regenerate_id(true) というおまじないを実行するのがポイントです。
<?php
// セッションを開始します
session_start();
// ユーザーからのPOST送信（IDとパスワード）を受け取ったと仮定
$username = $_POST['username'] ?? '';
$password = $_POST['password'] ?? '';
// 【データベース等の照合処理】（ここでは簡易的に判定）
$is_authenticated = ($username === 'admin' && $password === 'secure_password123');
if ($is_authenticated) {
// 認証成功！
// 【最重要】セッション固定化攻撃を防ぐため、セッションIDを完全に新しく再生成します
// 引数に true を指定することで、古いセッションデータファイルもサーバーから削除します
session_regenerate_id(true);
// ログイン状態をセッションに保存します
$_SESSION['is_logged_in'] = true;
$_SESSION['username'] = $username;
// マイページへリダイレクト
header('Location: /mypage.php');
exit;
} else {
// 認証失敗
echo 'ログインに失敗しました。';
}
?>このように、「ログインしたら必ずIDを新しくする」を徹底するだけで、セッション固定化攻撃は完全に防ぐことができます。
—
3. 泥棒の侵入経路を塞ぐ！「Secure属性」と「HttpOnly属性」の徹底
セッションIDを新しくするだけではなく、そもそもその大事なIDが悪い人に盗まれないように「頑丈な鍵とケース」で守る必要があります。それが、クッキー（Cookie）に設定する Secure属性 と HttpOnly属性 です。
それぞれ、どのような役割を持っているのか見ていきましょう。
① Secure属性（通信の盗聴を防ぐ「金庫の鍵」）
- 意味：このセッションIDは、暗号化された安全な通信（HTTPS）のときだけでしか送受信しないというルールです。
- なぜ必要？：もしWebサイトが暗号化されていない（HTTPのままの）通信を使っていると、カフェのWi-Fiなどで、悪意ある人に通信を「カンニング（盗聴）」されてセッションIDを抜き取られてしまいます。Secure属性をつけておけば、暗号化されていない通信ではそもそもCookieが運ばれなくなるため、盗聴のリスクをグッと減らせます。
② HttpOnly属性（JavaScriptからの盗み見を防ぐ「透明ケースの禁止」）
- 意味：JavaScriptというプログラムから、このセッションID（Cookie）にアクセスできないようにする設定です。
- なぜ必要？：もしあなたのWebサイトに「XSS（クロスサイトスクリプティング）」という別の脆弱性があった場合、攻撃者は悪意あるJavaScriptを実行して、ブラウザの裏側にあるCookieをコソッと盗み出そうとします。HttpOnly属性をつけておけば、「JavaScriptからはこのCookieは見えません！」と鉄壁のガードを張れるため、万が一XSSの隙があってもセッションIDを守り抜くことができます。
—
4. インフラ・フレームワーク設定の実際
これらの属性は、PHPのコードやサーバーの設定ファイルで簡単に有効化できます。実務でそのまま使える設定サンプルを見てみましょう。
PHPのコードで設定する場合（php.ini またはプログラムの冒頭）
PHPでは、セッションを安全に扱うための設定をコード内から次のように指定できます。
<?php
// クッキーのセキュリティ設定を強制する
// セッションIDのCookieに HttpOnly属性 と Secure属性 を付与する設定
session_set_cookie_params([
'lifetime' => 0, // ブラウザを閉じたらセッション終了
'path' => '/', // サイト全体で有効
'domain' => '', // 現在のドメイン
'secure' => true, // 【Secure属性】HTTPS通信でのみ送信を許可
'httponly' => true, // 【HttpOnly属性】JavaScriptからのアクセスを禁止
'samesite' => 'Lax' // CSRF対策としてLaxまたはStrictを指定
]);
// 設定を反映してからセッションを開始
session_start();
?>ApacheやNginx、Webアプリケーションフレームワークでの注意点
最近の開発では、Laravel、Django、Ruby on Railsなどのモダンなフレームワークを使うことが多いと思います。これらのフレームワークでは、初期設定ですでに HttpOnly や Secure が「有効（True）」になっていることがほとんどです。
ただし、「本番環境（HTTPS）ではSecureが有効になっているか」、「ステージング環境やローカル開発環境（HTTP）から本番に移すときに設定が漏れていないか」は、リリース前に必ずインフラ担当者やチームメンバーと一緒に確認するようにしましょう！
—
まとめ
今回は、セッション固定化攻撃の仕組みと、その強力な防止策についてお伝えしました。
- セッション固定化攻撃とは？：攻撃者が用意した「偽の合鍵（セッションID）」をユーザーに使わせ、ログイン後にアカウントを乗っ取る手口。
- 防止策①（ロジックの対策）：ログインが成功した瞬間、
session_regenerate_id(true)でセッションIDを必ず新しく再生成する。 - 防止策②（クッキーの対策）：Secure属性（HTTPS限定）とHttpOnly属性（JSからの盗み見禁止）を必ずつけて、ID自体を頑丈に守る。
セキュリティの対策は、最初は難しく感じるかもしれませんが、「どうやって悪用されるか（攻撃者の視点）」と「どうやって塞ぐか（防御の視点）」をセットで知っていくと、パズルが解けるように楽しくなってきます。
一歩ずつ、安全で信頼されるWebアプリケーションを作っていきましょう！応援しています！
コメント